linux的一些命令 -查看cc攻击-网口ip统计等

来源：互联网发布：spine mac 破解版编辑：程序博客网时间：2024/05/17 06:27

Linux判断CC攻击命令详解
2011年12月23日 ⁄ 安全 ⁄ 暂无评论
查看所有80端口的连接数

Java代码  
netstat -nat|grep -i '80'|wc -l  
对连接的IP按连接数量进行排序  
  
netstat -ntu | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n  
查看TCP连接状态  
  
netstat -nat |awk '{print $6}'|sort|uniq -c|sort -rn  
netstat -n | awk '/^tcp/ {++S[$NF]};END {for(a in S) print a, S[a]}'  
netstat -n | awk '/^tcp/ {++state[$NF]}; END {for(key in state) print key,"\t",state[key]}'  
netstat -n | awk '/^tcp/ {++arr[$NF]};END {for(k in arr) print k,"\t",arr[k]}'  
netstat -n |awk '/^tcp/ {print $NF}'|sort|uniq -c|sort -rn  
netstat -ant | awk '{print $NF}' | grep -v '[a-z]' | sort | uniq -c  
查看80端口连接数最多的20个IP  
  
netstat -anlp|grep 80|grep tcp|awk '{print $5}'|awk -F: '{print $1}'|sort|uniq -c|sort -nr|head -n20  
netstat -ant |awk '/:80/{split($5,ip,":");++A[ip[1]]}END{for(i in A) print A,i}' |sort -rn|head -n20  
用tcpdump嗅探80端口的访问看看谁最高  
  
tcpdump -i eth0 -tnn dst port 80 -c 1000 | awk -F"." '{print $1″."$2″."$3″."$4}' | sort | uniq -c | sort -nr |head -20  
查找较多time_wait连接  
  
netstat -n|grep TIME_WAIT|awk '{print $5}'|sort|uniq -c|sort -rn|head -n20  
查找较多的SYN连接  
  
netstat -an | grep SYN | awk '{print $5}' | awk -F: '{print $1}' | sort | uniq -c | sort -nr | more  

================================

防范DDOS攻击脚本

#防止SYN攻击轻量级预防
iptables -N syn-flood
iptables -A INPUT -p tcp –syn -j syn-flood
iptables -I syn-flood -p tcp -m limit –limit 3/s –limit-burst 6 -j RETURN
iptables -A syn-flood -j REJECT

#防止DOS太多连接进来,可以允许外网网卡每个IP最多15个初始连接,超过的丢弃
iptables -A INPUT -i eth0 -p tcp –syn -m connlimit –connlimit-above 15 -j DROP
iptables -A INPUT -p tcp -m state –state ESTABLISHED,RELATED -j ACCEPT

#用Iptables抵御DDOS (参数与上相同)
iptables -A INPUT -p tcp --syn -m limit --limit 12/s --limit-burst 24 -j ACCEPT
iptables -A FORWARD -p tcp --syn -m limit --limit 1/s -j ACCEPT

##########################################################

防范CC攻击

当apache站点受到严重的cc攻击，我们可以用iptables来防止web服务器被CC攻击，实现自动屏蔽IP的功能。

1．系统要求

(1)LINUX 内核版本：2.6.9-42ELsmp或2.6.9-55ELsmp（其它内核版本需要重新编译内核，比较麻烦，但是也是可以实现的）。

(2)iptables版本：1.3.7

2. 安装

安装iptables1.3.7和系统内核版本对应的内核模块kernel-smp-modules-connlimit

3. 配置相应的iptables规则

示例如下：

(1)控制单个IP的最大并发连接数

Java代码  
iptables -I INPUT -p tcp --dport 80 -m connlimit  --connlimit-above 50 -j REJECT  

#允许单个IP的最大连接数为 30
#默认iptables模块不包含connlimit,需要自己单独编译加载，请参考该地址
http://sookk8.blog.51cto.com/455855/280372 不编译内核加载connlimit模块

(2)控制单个IP在一定的时间（比如60秒）内允许新建立的连接数

Java代码  
iptables -A INPUT -p tcp --dport 80 -m recent --name BAD_HTTP_ACCESS --update --seconds 60 --hitcount 30 -j REJECT iptables -A INPUT -p tcp --dport 80 -m recent --name BAD_HTTP_ACCESS --set -j ACCEPT  

#单个IP在60秒内只允许最多新建30个连接

4. 验证

（1）工具：flood_connect.c（用来模拟攻击)

（2）查看效果：

使用

Java代码  
watch 'netstat -an | grep:21 | grep<模拟攻击客户机的IP>| wc -l'  

实时查看模拟攻击客户机建立起来的连接数，

使用

Java代码  
watch 'iptables -L -n -v | \grep<模拟攻击客户机的IP>'  

查看模拟攻击客户机被 DROP 的数据包数。

5．注意

为了增强iptables防止CC攻击的能力，最好调整一下ipt_recent的参数如下：

Java代码  
#cat/etc/modprobe.conf options ipt_recent ip_list_tot=1000 ip_pkt_list_tot=60  

#记录1000个IP地址，每个地址记录60个数据包 #modprobe ipt_recent

===========================

Nginx 版本信息:

nginx version: nginx/0.8.53

Nginx日志配置项:

Java代码  
access_log      /data0/logs/access.log  combined;  

Nginx日志格式:

Java代码  
$remote_addr – $remote_user [$time_local]  $request $status $apache_bytes_sent $http_referer $http_user_agent  
  
127.0.0.1 - - [24/Mar/2011:12:45:07 +0800] "GET /fcgi_bin/xxx.fcgi?id=xxx HTTP/1.0" 200 160 "-" "Mozilla/4.0"  

通过日志查看当天访问页面排前10的url:

Java代码  
#>cat access.log | grep "24/Mar/2011" | awk '{print $7}' | sort | uniq -c | sort -nr | head -n 10  

通过日志查看当天ip连接数,统计ip地址的总连接数

Java代码  
#>cat access.log | grep "24/Mar/2011" | awk '{print $1}' | sort | uniq -c | sort –nr  
  
     38 112.97.192.16  
  
     20 117.136.31.145  
  
     19 112.97.192.31  
  
       3 61.156.31.20  
  
       2 209.213.40.6  
  
       1 222.76.85.28

通过日志查看当天访问次数最多的10个IP ,只需要在上一个命令后加上head命令

Java代码  
#>cat access.log | grep "24/Mar/2011" |awk '{print $3}'|sort |uniq -c|sort -nr|head –n 10  
  
     38 112.97.192.16  
  
     20 117.136.31.145  
  
     19 112.97.192.31  
  
       3 61.156.31.20  
  
       2 209.213.40.6  
  
       1 222.76.85.28

通过日志查看当天访问次数最多的10个IP

Java代码  
#>awk '{print $1}' access.log |sort |uniq -c|sort -nr|head  
  
  10680 10.0.21.17  
  
    1702 10.0.20.167  
  
      823 10.0.20.51  
  
      504 10.0.20.255  
  
      215 58.60.188.61  
  
      192 183.17.161.216  
  
        38 112.97.192.16  
  
        20 117.136.31.145  
  
        19 112.97.192.31  
  
          6 113.106.88.10

通过日志查看当天指定ip访问次数过的url和访问次数:

Java代码  
#>cat access.log | grep "10.0.21.17" | awk '{print $7}' | sort | uniq -c   
  
cat access.log | grep "10.0.21.17" | awk '{print $7}' | uniq -c | sort -nr | head -n 20  
  
    224 /test/themes/default/img/logo_index.gif  
  
    224 /test/themes/default/img/bg_index_head.jpg  
  
    224 /test/themes/default/img/bg_index.gif  
  
    219 /test/vc.php  
  
    219 /  
  
    213 /misc/js/global.js  
  
    211 /misc/jsext/popup.ext.js  
  
    211 /misc/js/common.js  
  
    210 /sladmin/home  
  
    197 /misc/js/flib.js

通过日志查看当天访问次数最多的时间段

Java代码  
#>awk '{print $4}' access.log | grep "24/Mar/2011" |cut -c 14-18|sort|uniq -c|sort -nr|head  
  
     24 16:49  
  
     19 16:17  
  
     16 16:51  
  
     11 16:48  
  
       4 16:50  
  
       3 16:52  
  
       1 20:09  
  
       1 20:05  
  
       1 20:03  
  
       1 19:55

rails日志查询ip访问的排行榜

Ruby代码  
cat production.log | grep '2010-10-31' | awk '{print $4}'| sort -u | wc  

-----------------

持续的监视某块网卡的数据流量
其中 eht0 对应你想要监视的网卡 bytes 对应中文版系统的“字节”
1 代表 1秒钟刷新一次

Java代码  
watch -n 1 "/sbin/ifconfig eth0 | grep bytes"  

------------------
# sar -n DEV -u 1 10
看看当前网络流量

# iostat -t 1 10
看看当前硬盘读写速度
----------------------

查看文件大小

du -h --max-depth=1 /路径

转载地址：http://chinacheng.iteye.com/blog/1532729

0 0